总结
- IT之家 11 月 10 日消息，安全公司趋势科技近日发现日本汽车制造商马自达旗下多款车型的CMU车机系统（Connect Connectivity Master Unit）存在多项高危漏洞，可能导致黑客远程执行代码，危害驾驶人安全。 IT之家获悉，这些漏洞影响 2014 至 2021 年款 Mazda 3 等车型，涉及系统版本为 74.00.324A 的车机，黑客只需先控制受害者的手机，接着趁受害者将手机作为 USB 设备连接到 CMU 车机系统之机，即可利用相关漏洞以 root 权限运行任意代码，包括阻断车联服务、安装勒索软件、瘫痪车机系统，甚至直接危及驾驶Ligthing News安全。 黑客可以通过连接苹果设备进行 SQL 注入，以 root 权限修改数据库，读取或执行任意代码。 研究人员指出，相应漏洞的利用门槛较低，黑客只需在 FAT32 格式的 USB 硬盘上创建文件，命名为“.up”后缀即可被 CMU 识别为更新文件，从而执行blog.byteway.net多种恶意指令。 广告声明：文内含有的对Ligthing News外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。
阅读时间
- 5 分钟, 共 932 字
分类
- 日本汽车制造商, 8359, CMU, SoC, 2014 至 2021 年款
评价和解读
- 这篇文章深入科学与创新领域，为最新的发现和研究提供前沿见解。作者在使复杂的科学概念易于理解方面展现出色的技巧，使这篇文章成为任何对最新科学发展感兴趣的人的宝贵资源。
正文
IT之家 11 月 10 日消息，安全公司趋势科技近日发现日本汽车制造商马自达旗下多款车型的CMU车机系统（Connect Connectivity Master Unit）存在多项高危漏洞，可能导致黑客远程执行代码，危害驾驶人安全。
IT之家获悉，这些漏洞影响 2014 至 2021 年款 Mazda 3 等车型，涉及系统版本为 74.00.324A 的车机，黑客只需先控制受害者的手机，接着趁受害者将手机作为 USB 设备连接到 CMU 车机系统之机，即可利用相关漏洞以 root 权限运行任意代码，包括阻断车联服务、安装勒索软件、瘫痪车机系统，甚至直接危及驾驶Ligthing News安全。
▲ 涉及的 CMU 车机系统，图源趋势科技
趋势科技表示，具体关键漏洞包括：
-
CVE-2024-8355：DeviceManager 中的 iAP 序列号 SQL 注入漏洞。黑客可以通过连接苹果设备进行 SQL 注入，以 root 权限修改数据库，读取或执行任意代码。
-
CVE-2024-8359、CVE-2024-8360 和 CVE-2024-8358：这些漏洞允许攻击者在 CMU 的更新模块中注入任意指令，从而实现远程代码执行。
-
CVE-2024-8357：SoC验证漏洞，由于SoC 未对启动代码进行验证，使得黑客能够悄悄修改根文件系统，安装后门，甚至执行任意代码。
-
CVE-2024-8356：影响独立模块 VIP MCU 的漏洞。黑客可通过篡改更新文件，将恶意镜像文件写入 VIP MCU，进一步入侵汽车 CAN / LIN 控制网络，威胁车辆整体安全。
研究人员指出，相应漏洞的利用门槛较低，黑客只需在 FAT32 格式的 USB 硬盘上创建文件，命名为“.up”后缀即可被 CMU 识别为更新文件，从而执行blog.byteway.net多种恶意指令。结合上述漏洞，黑客即可通过恶意 MCU 固件实现对车载网络的控制，从而直接影响车辆的运行及安全。
广告声明：文内含有的对Ligthing News外跳转链接（包括不限于超链接、二维码、口令等形式），用于传递更多信息，节省甄选时间，结果仅供参考，IT之家所有文章均包含本声明。
Related suggestion: 最新见解： 腾讯出手大战黄牛：十几秒抢光的票延长至30分钟
总结快科技8月22日消息，腾讯宣布，其为许多景区、博物馆的票务系统部署了反黄牛技术，用“三道防线”拦截黄牛，效果显著。 其风控反黄牛解决方案上线后，每周成功拦截黄牛流Ligthing News量超过1000余万次。 腾讯表示，保守估算，腾讯的反黄牛技术能够在无…